パスキーが世界中の企業とセキュリティ意識の高い個人の双方に広がり続けるなか、当然ながら多くの疑問と、そして誤解が生まれています。YubiKeyのようなさまざまな形態のパスキーについても同様です。物理デバイス、すなわちセキュリティキーの中で生成・保管される、最初のパスキーの生みの親として、Yubicoはこの変革を始動させ、いまも推し進めていることを誇りに、そして謙虚に受け止めています。
2007年以来、Yubicoの使命はインターネットをより安全にすることです。そのなかで私たちは現代的なハードウェアセキュリティキーを世に送り出し、今日のパスワードレス認証を支えるオープン標準 ― FIDO2／パスキー、WebAuthn、U2F ― を共同で作り上げてきました。この間、世界中の組織と密に連携し、AiTM（中間者型）フィッシングのような高度なサイバー攻撃を食い止めてきました。インターネットをより安全にし続けること、そしてパスキーとYubiKeyにまつわるよくある誤解や思い込みを解いていくことが、私たちの使命です。
この記事では、YubiKeyについて特によく聞かれる5つの誤解を取り上げ、フィッシングに強いデバイス紐づけ型パスキーが、なぜ安全な認証の基準となったのかを説明します。
誤解1：YubiKeyが必要なのはIT部門だけ
YubiKeyが必要なのはIT管理者や特権ユーザーだけだ、という思い込みはよく見られます。たしかにこれらのアカウントは最も重要な部類に入ります。広範なアクセス権限を持ち、侵害されれば大きな被害につながるからです。YubiKeyはこうした利用者をフィッシングに強くするだけでなく、クライアントおよびサーバーへのログオン、RDP、SSH、権限昇格（オンプレミス・クラウドの双方）、コミット署名、コード署名など、複数の場面の認証を1つの認証器に集約します。IT部門をはじめとする特権アカウントをYubiKeyで保護することは、あらゆる組織が優先すべき事項です。ただし、そこで止まってはいけません。
特権ユーザーだけを保護している状態は、正面玄関に鍵をかけながら窓を開けたままにしているようなものです。すべての従業員がフィッシングの標的になり得ますし、統計的には技術にあまり詳しくない利用者ほど、そうした手口に引っかかりやすく、攻撃者の最初の侵入口になりがちです。だからこそ、すべての利用者にフィッシングに強い認証を提供することが、同じくらい、あるいはそれ以上に重要なのです。しかもYubiKeyでこれらの層を保護すると、さらに副次的な利点があります。目指すべきは、すべての利用者・すべてのユースケースを対象とした包括的な保護です。
YubiKeyは、USBとNFCの両方に対応し（PC、Mac、Linuxのほか、スマートフォンやタブレットなどの携帯端末でも）、あらゆる利用者とプラットフォームに一貫したハードウェアベースの保護を提供します。アプリ型MFAやその他の方式より安全であるだけでなく、多くの場合、使い勝手も上回ります。YubiKey 5シリーズであれば、パスワードレスのログインはPINを入力してYubiKeyに触れるだけ。YubiKey Bioなら、触れるだけでログインが完了します。これは、ストレスの少なさ、ログインの速さ、そしてコストの低減につながります。
誤解2：YubiKeyの導入は難しい
より多くの、理想的にはすべての利用者がYubiKeyを使うべきだと理解すると、次に必ず出てくるのが「導入が難しい、あるいは物流面で複雑だ」という思い込みです。これはおそらく、旧世代のハードウェアトークン ― 電池とLCD画面を備え、初期配布や頻繁な交換対応、継続的な利用者サポートを必要とした機器 ― の経験に由来しています。
YubiKeyはそれらとは大きく異なります。電池も表示画面も可動部もありません。ガラス繊維強化ポリマーで作られた堅牢な設計で、そのまま「ただ動く」ことを目指しています。
大規模導入では、OktaおよびMicrosoftとの協業から生まれたYubicoのFIDO Pre-Regによって、展開作業を大幅に簡素化できます。これにより組織は、利用者の認証情報の事前登録を自動化し、PINポリシーを適用し、出荷前にYubiKeyを設定できます。設定済みですぐに使える状態のデバイスを、Yubicoから利用者へ直接配送することも可能です。
受け取った利用者は、YubiKeyを挿し込み、初期PINを変更し、求められたときに触れるだけです。IT部門にも利用者にも設定の負担はなく、物流はすべてYubicoに任せることができます。
配布やオンボーディングを社内で行いたい（あるいは行う必要がある）組織向けには、FIDO Pre-Regを補完する無償ツールYubiEnrollも用意されています。MicrosoftおよびOktaのAPIを基盤としており、IT部門や権限を委譲された担当者が、利用者のライフサイクル全体を通じてYubiKeyの設定・登録・再利用を効率的に行えます。
こうした一連のツールにより、YubiKeyの導入は、OTPトークンなどの従来型MFAソリューションや競合のセキュリティキーと比べて速く、安く、確実になります。多くの場合、アプリ型やプラットフォーム型のMFAよりも簡単です。
誤解3：利用者はYubiKeyを2本持たなければならない
3つ目の誤解は、利用者はYubiKeyを必ず2本持たなければならない、というものです。この推奨はよく見られますし、法人・個人の多くの利用者にとって優れた実践ではありますが、常にすべての状況に当てはまる唯一の解ではありません。
まず前提となる課題を整理しましょう。利用者がログインできなくなれば、生産性が落ち、運用コストも増えることを組織は理解しています。アクセスを失った利用者の対応やアカウント復旧の支援は、時間もコストもかかります。この観点から、予備の認証手段や、素早くアクセスを復旧できる仕組みを用意することには十分な合理性があります。
一方で、同じくらい重要でありながら見落とされがちなのがセキュリティです。予備の手段や復旧手続きが、主たる手段（YubiKey）と同等の保証レベルを備えていなければ、それ自体が攻撃経路になってしまいます。
こうした点を踏まえると、すべての利用者にYubiKeyを2本ずつ配布することは理にかなった解決策です。サポートが限られる、あるいは存在しない個人向けの領域では、実際に有効な推奨です。YubiKeyを紛失して個人アカウントへのアクセスを取り戻す必要があるとき、予備があれば便利であり、現実的でもあります。
ただし企業の文脈では、より細やかなアプローチが大きな成果を生みます。たとえば組織は次のような方法を取れます。
- 支社や現地のIT部門に、未割り当てのYubiKeyを一定数（たとえば現地の利用者数の20%）確保しておき、迅速に再発行できるようにする。
- Windows Hello for Business（WHfB）のように、同等の認証強度を持つ代替の認証方式の登録を認める。
実際の運用では、従業員がYubiKeyを主たる方式とし、プラットフォームの対応状況や本人の好みに応じてWindows Helloを副次的な方式として使う、といった形になります。あるいは現地のIT担当者がYubiEnroll（または同等のサードパーティ製ツール）を使い、必要に応じて交換用のYubiKeyを割り当て、利用者が数分でアクセスと生産性を取り戻せるようにする、という形もあり得ます。
1人あたり2本のYubiKeyを持つことは、保証を高める優れた選択肢のひとつですが、唯一の方法ではありません。本当に重要なのは、管理の負担と復旧時の手間を最小限に抑えながら、すべての利用者が常にフィッシングに強い認証手段を使える状態を保ち、そのライフサイクルを通じてフィッシングに強い利用者であり続けることです。
誤解4：MFAはどれも同じ
IT専門家の間でさえ根強く残る、残念な誤解があります。MFAならどれでも「十分」だ、あるいは同じ分類（たとえばフィッシング耐性がある方式）のMFAであれば互換性があるはずだ、という思い込みです。これは危険であり、かつ誤りです。すべてのMFAが同じレベルのセキュリティを提供するわけではありません。
ワンタイムパスワード（OTP）は、アプリで生成されるものであれSMSやテキストで送られるものであれ、フィッシングに強くありません。サーバーやサプライチェーンから盗まれたり、中間者（MiTM）攻撃で捕捉されたりし得る共有シークレットに依存しているからです。複製・傍受・ソーシャルエンジニアリングなどで一度でも侵害されれば、攻撃者は容易にアクセスできてしまいます。
プッシュ通知型の認証方式（これもOTPに基づくものです）は便利な一方、独自のリスクをもたらします。攻撃者がログイン要求を繰り返し送りつけ、利用者が気づかないうちに承認してしまう「プッシュ爆撃」攻撃は、ますます一般的になっています。番号照合や位置情報の表示といった強化策は保護をわずかに改善しますが、その代償として使い勝手が損なわれます。しかも、AiTM（中間者型）攻撃のような今日のより高度なフィッシング手法に対しては、ほとんど効果がありません。
これに対してYubiKeyは、設計そのものによってフィッシング耐性を実現しています。デバイス紐づけ型パスキー、あるいは証明書ベース（PKI）の認証情報として構成されたYubiKeyは、利用者の注意力や特別な訓練に頼ることなく、AiTMのような最も巧妙な攻撃に対しても、真にフィッシングに強い認証を提供します。
YubiKeyはセキュリティキー、FIDO2、デバイス紐づけ型パスキー ― 現代のフィッシングに強いMFAを定義する中核技術 ― の代名詞となっていますが、もちろん他の選択肢も存在します。ここでYubicoにはいくつかの重要な優位性があります。
- すべてのYubiKeyがFIDO Level 2認証を取得しており、堅牢なアテステーションとハードウェアに裏付けられた保証を提供します。競合製品の多くはLevel 1、あるいは認証そのものを取得していません。
- 厳格な品質・セキュリティ基準のもと、米国とスウェーデンで設計・開発・製造されています。
- ハードウェアにとどまらず、Yubicoはクロスプラットフォームの設定アプリ、SDK、ライフサイクル管理ユーティリティといった無償のツールを提供しており、全社規模の導入と管理を簡単かつ低コストに行えます。競合ベンダーの多くはツールを提供していないか、自社製品を動作させるためにYubicoのオープンソースプロジェクトに依存しています。
誤解5：YubiKeyは高い
最後の5つ目は、フィッシングに強い認証を議論するときに最もよく聞かれる反論、すなわちコストについてです。一見するとYubiKeyは高価に映るかもしれません。「無料」と受け止められがちなアプリ型MFAや、低価格のハードウェア代替品と比べればなおさらです。しかしこの見方は、全体像を捉えていません。
YubiKeyは長く使えるよう耐久性を重視して設計されており、電池も可動部もメンテナンスも不要です。安価な代替品は初期費用を抑えられるかもしれませんが、交換、ヘルプデスクへの問い合わせ増加、利用者が認証できないことによる生産性の損失を通じて、総保有コストはかえって高くつくことが少なくありません。企業向けのツールやユーティリティがないことが、こうした見えにくいコストをさらに押し上げます。
アプリ型MFAも、便利である一方で独自の金銭的・運用的な負担を伴います。登録する利用者ごとに、2〜3年ごとにおよそ1,000ドルかかる会社支給のスマートフォンが前提となることが多く、加えて通信費、端末管理、利用者サポートの費用が継続的に発生します。とりわけ端末の更新時期には、認証アプリの再インストールと再登録が必要になります。
実際のところ、利用者のモビリティという観点で見ると、こうした端末による生産性向上は限定的だったという組織も少なくありません。コロナ禍以降、平均的な従業員はかつてないほど固定的な働き方になっており、移動が必要な場面ではすでにノートPCを携えています。多くの場合、法人携帯は生産性向上のための道具から、従業員の福利厚生であり、かつMFAを動かすための端末へと役割を変えました ― 実質的に1,000ドルの認証アプリです。これに対してYubiKeyは29ドルから、平均でも50ドル程度であり、パスワードの再設定やアプリの再インストールに関するヘルプデスクのチケット1件分にも満たない金額です。
コスト以前に、モバイル端末を用いたMFAはセキュリティ面でも見劣りします。ほとんどの実装はフィッシングに強くない（強くできるものもあります）ため、そもそもコスト比較の前提が成り立ちません。
リスク管理とROIの観点から見れば、YubiKeyはコストではなく戦略的な投資です。IBMの「2024年 データ侵害のコストに関する調査」によれば、1件あたりの平均被害額はおよそ400万〜500万ドルにのぼります。YubiKeyのようなフィッシングに強いMFAを導入することで、そのリスクを99%以上低減できます。
予算の見通しやすさを重視する組織向けに、YubicoはYubiKeys as a Serviceも提供しています。これは費用を3年間に分散するサブスクリプション型のモデルで、年間の交換枠を含み、予算策定と従業員のライフサイクル管理の双方を簡素化します。
YubiKeyとともに、フィッシングに強い未来へ
最後に。YubiKeyは、数あるMFAの選択肢のひとつでも、IT部門だけのための道具でもありません。現代的な「ゼロトラスト」アーキテクチャや「MFA everywhere」の取り組みを支える基盤であり、使い勝手を損なうことなく、測定可能なセキュリティ上の成果をもたらします。
組織全体に展開されたYubiKeyは、IDの保証レベルを大きく高め、認証の煩わしさを減らし、運用の負担を下げます。その結果もたらされるのは、セキュリティ体制の強化だけではありません。従業員の生産性向上、サポートコストの削減、ROIへの明確な好影響、そして何より安心という、具体的な事業価値です。
原文（英語）: 「5 common YubiKey myths for businesses – and why they don't hold up」 https://www.yubico.com/blog/5-common-yubikey-myths-for-businesses-and-why-they-dont-hold-up/
